Forminator Forms: Rechteausweitung über zahlungspflichtiges Registrierungsformular
Zusammenfassung
Forminator Forms, ein WordPress-Formular-Plugin, erzwingt serverseitig keine Zahlung, wenn das konfigurierte Zahlungs-Gateway des Formulars nicht verfügbar ist. Nicht authentifizierte Besucher können ein zahlungspflichtiges Benutzerregistrierungsformular ohne Bezahlung abschliessen und erhalten die konfigurierte Rolle des Formulars, bis hin zum Administrator. Die Lücke tritt laut Beschreibung auf, nachdem das Gateway verbunden und später wieder getrennt wurde, und setzt somit ein zahlungspflichtiges Registrierungsformular mit Rollenzuweisung voraus.
Betroffen
- Forminator Forms 1.58.0 bis vor 1.58.4 (laut CNA-Eintrag)
- Versionen vor 1.58.0: Unbekannt.
Behoben in
- Forminator Forms 1.58.4
Umgehung
- Vom Hersteller ist keine Workaround-Massnahme dokumentiert.
- Übergangsmassnahme (nicht aus einer Herstellerquelle): Registrierungsformulare, die ein Zahlungsfeld mit einer Rollenzuweisung kombinieren, bis zum Update deaktivieren.
- Die Standardrolle jedes Registrierungsformulars prüfen.
Ausnutzung
- Eine Ausnutzung in freier Wildbahn ist nicht bekannt.
- Nicht im CISA-KEV-Katalog aufgeführt.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- In den geprüften Quellen wurde kein öffentlicher Proof of Concept gefunden. Die WPScan-Referenz ist als exploit markiert und sollte direkt geprüft werden.
Unsere Empfehlung
- Forminator Forms auf allen Websites auf 1.58.4 oder neuer aktualisieren, auch wenn das Plugin selten genutzt wird.
- Zahlungspflichtige Registrierungsformulare und deren zugewiesene Rollen prüfen.
- Kürzlich erstellte Administratorkonten auf unbekannte Benutzer prüfen.
- Neue Benutzerregistrierungen mit erhöhten Rollen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-111579 www.cve.org
- WPScan vulnerability page wpscan.com
- WordPress.org Forminator plugin page wordpress.org
- WPMU DEV Forminator Pro project page wpmudev.com
- GPL Astra Forminator Pro changelog www.gpl-astra.com
- Dr. Web article on the Forminator vulnerability (German) www.drweb.de
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 13:27.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.